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(57) Abstract: The invention relates to a device and a method for the redundant voltage supply of safety-relevant systems, in par- 
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(57) Zusammenfassung: Die vorliegende Erfindung offenbart eine Vorrichtung und ein Verfahren zur redundanten Spannungsver- 
sorgung sicherheitsrelevanter Systeme, insbesondere in Kraftfahrzeugen. Es wird sowohl ein Ausfall einer Spannungsversorgung an 
sicherheitsrelevanten Systemen erkannt und daraufhin eine Umschaltung auf eine andere Spannungsversorgung veranlasst, als auch 
sichergestellt, dass auch bei einem Ausfall von einer oder zwei Ansteuereinrichtungen zur Spannungsumschaltung eine Ruckfalle- 
bene vorhanden ist, durch die dann die Spannungsumschaltung ubernommen wird. Auf diese Weise wird sowohl bei einem Ausfall 
einer Spannungsversorgung sicherheitsrelevanter Systems als auch bei einem Ausfall von Ansteuereinrichtungen sichergestellt, dass 
dennoch eine Spannungsumschaltung erfolgt und auf diese Weise die Verfugbarkeit sicherheitsrelevanter Systeme erheblich verbes- 
sert wird. 
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Vorrichtung und Verfahren zur redundanten Spannungsversorgung 

sicherheitsrelevanter Systeme 



Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur 
redundanten Spannungsversorgung sicherheitsrelevanter Syste- 
me, insbesondere in Kraf tf ahrzeugen. 

Zur Sicherstellung der Versorgung sicherheitsrelevanter Sys- 
teme, insbesondere in Kraf tf ahrzeugen, sind bisher verschie- 
dene Systeme mit redundanter Spannungsversorgung vorgeschla- 
gene worden. 

Die WO 99/42331 offenbart eine Spannungsversorgungsschaltung 
fiir sicherheitsrelevante Systeme, wie beispielsweise elektri- 
sche Bremsen, in Kraf tf ahrzeugen, bei der den Systemen eigene 
Zusatzbatterien zugeordnet sind, die mit Hilfe einer Lade- 
schaltung und Umschalteinheit sowie iiber Mittel zur Uberwa- 
chung und Verteilung der elektrischen Energie mit einer Bord- 
netzbatterie und/oder dem Generator verbindbar sind. Im ubli- 
chen Betrieb werden die sicherheitsrelevanten Systeme aus der 
ihnen zugeordneten Zusatzbatterie versorgt, bei einem Defekt 
der Zusatzbatterie oder bei einer zu stark entladenen Zusatz- 
batterie erfolgt eine Umschaltung und die sicherheitsrelevan- 
ten Systeme werden direkt aus der Bordnetzbatterie versorgt. 
Aufgrund dieser Umschaltung bei nicht mehr ausreichender E- 
nergie der Zusatzbatterie auf die Bordnetzbatterie wird auf 
eine Uberwachungsschaltung fiir die Zusatzbatterie verzichtet . 
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Weiterhin ist aus der DE 10 0 53 584 Al eine redundante Span- 
nungsversorgung fur sicherheitsrelevante Verbraucher bekannt . 
Diese Einrichtung weist eine im Bordnetz angeordnete erste 
Spannungsversorgung und eine zweite Spannungsversorgung auf , 
wobei die erste und zweite Spannungsversorgung uber ein Ent- 
kopplungselement verbunden sind. Das Entkopplungselement , 
beispielsweise eine Diode, einen Schalter mit Stromrichtungs- 
erkennung oder Feldef f ekttransistoren mit einer internen 
Kurzschlussstromerkennung, gewahrleistet einen gerichteten 
Stromfluss von der erst en zur zweiten* Spannungsversorgung. 
Zudem sind die erste Spannungsversorgung ein zweites Entkopp- 
lungselement und die zweite Spannungsversorgung uber ein 
drittes Entkopplungselement mit dem sicherheitsrelevanten 
Verbraucher verbunden und stellen einen gerichteten Strom- 
fluss sicher. Wenn die Spannung der ersten Spannungsversor- 
gung unter die der zweiten Spannungsversorgung* fallt, wird 
das Entkopplungselement durchlassig, so dass die zweite Span- 
nungsversorgung die Spannungsversorgung des sicherheitsrele- 
vanten Verbrauchers ubernimmt . 

SchlieSlich ist aus der- DE 198 55 245 Al eine redundante 
Spannungsversorgung fur elektrische Verbraucher in einem 
Fahrzeugbordnetz angeben, die insbesondere bei elektrisch be- 
tatigbaren Bremsen zum Einsatz kommt. Zur Sicherstellung der 
Spannungsversorgung wird der elektrische Verbraucher uber 
Trennmodule gleichzeitig an zwei getrennte Spannungszweige 
angeschlossen, die uber Lade -Trennmodule jeweils mit einem 
eigenen Spannungsspeicher in Verbindung stehen. Falls in ei- 
nem Versorgungszweig ein Fehler auftritt, der die Spannungs- 
versorgung fur den Verbraucher gefahrdet, wird dieser Versor- 
gungszweig mittels geeigneter Umschaltmittel geoffnet und die 
Spannungsversorgung nur noch vom f unktionsf ahigen Spannungs- 
zweig ubemommen. Trennmodule und Lade -Trennmodule konnen in 
einem Batteriestecker integriert sein. 

Somit bietet der vorstehend angefuhrte Stand der Technik ver- 
schiedene Losungen zur Verbesserung der Ausf allsicherheit bei 
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sicherheitsrelevanten Systemen, namlich im Fall eines Aus- 
falls der Spannungsversorgung, durch den bei.spielsweise bei 
einer elektrohydraulischen Bremse (EHB) , einer elektrohydrau- 
lischen Lenkung (EHL) , usw. ohne Ruckf allebene keine Brems- 
bzw. Lenkwirkung mehr vorhanden ware, indem eine Umschaltung 
auf eine Ersatzenergieversorgung erf olgt. 

Jedoch ist in diesen herkommlichen Ausfiihrungsf ormen keine 
Sicherheitsfunktion ausgebildet, durch die auch ein Ausfall 
der Ansteuerlogik kompensiert werden konnte, der ebenfalls zu 
einem vollstandigen Ausfall von sicherheitsrelevanten Syste- 
men, wie beispielsweise der elektrohydraulischen Bremse 
(EHB), der elektrohydraulischen Lenkung (EHL), usw. fiihren 
kann, da dann eine Umschaltung im Fall eines Spannungsausf all 
nicht mehr erfolgen kann. Herkommlich werden namlich bestimm- 
te Spannungen im Fahrzeug uber angesteuerte Relais dem Bord- 
netz zur Verfugung gesteht und exklusiv angesteuert . 

Daher ist es Aufgabe der vorliegenden Erfindung, eine Vor- 
richtung zur redundanten Spannungsversorgung sicherheitsrele- 
vanter Systeme auszubilden, mit der auf einfache Weise und 
kostengiinstig sowohl ein Ausfall der Spannungsversorgung als 
auch ein Ausfall der Ansteuerlogik zur Umschaltung im Fall 
eines Ausfalls der Spannungsversorgung kompensiert werden 
kann . 

Diese Aufgabe wird durch eine Vorrichtung zur redundanten 
Spannungsversorgung sicherheitsrelevanter Systeme mit den 
Merkmalen von Anspruch 1 sowie ein. Verfahren zur redundanten 
Spannungsversorgung sicherheitsrelevanter Systeme mit den 
Merkmalen von Anspruch 3 gelost . 

Bei der erf indungsgemaSen Vorrichtung und dem erf indungsgema- 
Sen Verfahren erfolgt somit nun sowohl eine Uberwachung, ob 
verschiedene Spannungen an sicherheitsrelevanten Systemen 
vorhanden sind, als auch eine Uberwachung, ob ein Einschalten 
einer Spannung durch eine erste Ansteuereinrichtung und/oder 
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eine zweite Ansteuereinrichtung als erste Ruckf allebene er- 
folgt ist, und im Falle eines Ausfalls der ersten und zweiten 
Ansteuereinrichtung das Einschalten der Spannung durch eine 
dritte Ansteuereinrichtung. 

Auf diese Weise wird die Verfugbarkeit der Spannungsversor- 
gung bei Ziindung Vein" erhoht und durch die Ausbildung von 
zwei Ruckfallebenen, durch die ebenfalls das Umschalten er- 
folgen kann, eine erhebliche Erhohung der Ausf allsicherheit . 

Daruber hinaus stellt die erf indungsgemaSe Vorrichtung zur 
redundanten Spannungsversorgung sicherheitsrelevanter Systeme 
eine auSerst kostengunstige Losung dar, da die einzelnen An- 
steuereinrichtungen zur Ansteuerung exklusiver Relais fur je- 
weils eine Spannungsversorgung bereits in herkommlichen Vor- 
richtungen ausgebildet sind, zusatzlich lediglich die Verbin- 
dung und der Inf ormationsaustausch uber Kommunikationskanale, 
wie beispielsweise den CAN-Bus realisiert und eine Ansteue- 
rung aller Relais durch jede der Ansteuereinrichtungen ermog- 
licht werden muss. 

Diese und weitere Aufgaben, Merkmale und Vorteile der Erfin- 
dung werden nachfolgend unter Bezugnahme auf die Zeichnung 
genauer erlautert . 

Dabei zeigen: 

Fig. 1 ein vereinf achtes Blockschaltbild der erf indungsgema- 
Sen Vorrichtung zur redundanten Spannungsversorgung 
sicherheitsrelevanter Systeme und 

Fig. 2 mit Fig. 2a und 2b ein Ablauf diagramm, das den Funk- 
tionsablauf des erf indungsgemaSen Verfahrens zur re- 
dundanten Spannungsversorgung sicherheitsrelevanter 
Systeme veranschaulicht . 



WO 2004/014701 




PCT/EP2003/007757 



Im folgenden wird nun zunachst unter Bezugnahme auf Fig. 1 
genauer auf den vereinf achten Aufbau der erf indungsgemaSen 
Vorrichtung zur redundanten Spannungsversorgung eingegangen. 

In Fig. 1 ist mit 11 ein CAN-Bus, als ein Beispiel fur Kommu- 
nikationskanale, bezeichnet, uber den Kommunikationssignale 
ubertragen werden. Die erf indungsgemaSe Vorrichtung zur re- 
dundanten Spannungsversorgung weist eine erste Ansteuerein- 
richtung 1 auf, die uber eine Leitung Spl das Vorhandensein 
einer Spannung an einem oder mehreren sicherheitsrelevanten 
System (en) 5 iiberwacht und beim Fehlen einer dort anliegenden 
Spannung uber ein Steuersignal Stl ein oder mehrere in einer 
Relaiseinheit 4 enthaltene Relais ansteuern kann, so dass an- 
schlieSend wieder eine Spannung an dem/den sicherheitsrele- 
vanten System(en) 5 anliegt . Zusatzlich gibt die erste An- 
steuereinrichtung 1 eine Anf orderungsbotschaf t Anfl an den 
CAN-Bus ll aus, wenn eine Ansteuerung eines oder mehrere Re- 
lais in der Relaiseinheit 4 erfolgen soli, urn eine Spannungs- 
versorgung des/der sicherheitsrelevanten Systeme 5 wiederher- 
zustellen. Uber diese Relais der Relaiseinheit 4 wird eine 
Spannungsversorgung fur sicherheitsrelevante elektrische Sys- 
teme 5, wie beispielsweise eine elektrohydraulische Bremse 
(EHB) , eine elektrohydraulische Lenkung (EHL) , usw. , ein- und 
ausgeschaltet . 

Weiterhin umfasst die erf indungsgemafce Vorrichtung eine zwei- 
te Ansteuereinrichtung 2, die uber eine Leitung Sp2 das Vor- 
handensein einer Spannung an dem einen oder mehreren sicher- 
heitsrelevanten System (en) 5 iiberwacht und beim Fehlen einer 
dort anliegenden Spannung ebenfalls die Relais in der Relais- 
einheit 4 ansteuern kann. Wenn die zweite Ansteuereinrichtung 
2 die Anforderungsbotschaft Anfl von der ersten Ansteuerein- 
richtung 1 uber den CAN-Bus 11 empfangt, iiberpriift sie, ob 
ein Schalten der Relaiseinheit 4, d.h. eine Wiederherstellung 
der Spannungsversorgung des einen oder mehrerer sicherheits- 
relevanter Systeme 5, durch die erste ..Ansteuereinrichtung 1 
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ausgeldst wurde und erfolgt ist. Falls kein Schalten der Re- 
laiseinheit 4 erfolgt ist und zusatzlich uber die Leitung Sp2 
ermittelt wird, dass an dem/den sicherheitsrelevanten Sys- 
tem (en) 5 keine Spannung anliegt, erfolgt eine Ansteuerung 
des/der Relais in der Relaiseinheit 4, urn eine Spannungsver- 
sorgung wieder herzustellen, durch die zweite Ansteuerein- 
richtung. AuSerdem ist die zweite Ansteuereinrichtung 2 der- 
art ausgebildet, dass sie in einem Fall, in dem sie trotz 
' fehlender Spannung an dem/den sicherheitsrelevanten Sys- 
tem (en) 5 kein Schalten des/der Relais in der Relaiseinheit 4 
bewirken kann, eine Anf orderungsbotschaf t Anf2 auf den CAN- 
Bus 11 legt. 

Erganzend zu diesen beiden ersten und zweiten Ansteuerein- 
richtungen 1 und 2 ist aufierdem eine dritte Ansteuereinrich- 
tung 3 ausgebildet, die uber eine Leitung Sp3 das Vorhanden- 
sein einer Spannung an dem einen oder mehreren sicherheitsre- 
levanten System (en) 5 uberwacht und beim Fehlen einer dort 
anliegenden Spannung ebenfalls die Relais in der Relaisein- 
heit 4 ansteuern kann. Im Fall, dass die Ansteuereinrichtung 
3 sowohl eine Anf orderungsbotschaf t Anf 1 von der ersten An- 
steuereinrichtung 1 als auch eine Anf orderungsbotschaf t Anf2 
von der zweiten Ansteuereinrichtung 2 uber den CAN-Bus emp- 
fangt und das Fehlen einer Spannung an dem/der sicherheitsre- 
levanten System (en) 5 erfasst, steuert die Ansteuereinrich- 
tung 3 die Relaiseinheit 4 derart an, das ein Umschalten 
des/der Relais erfolgt, so dass eine Spannungsversorgung 
des/der sicherheitsrelevanten Systeme 5 wieder hergestellt 
wird. 

Nachfolgend wird nun unter Bezugnahme auf Fig. 2 mit den Fig. 
2 a und 2b auf das erf indungsgemaSe Verfahren zur redundant en 
Spannungsversorgung sicherheitskritischer Systeme naher ein- 
gegangen . 

Zu Beginn wird in Schritt SI durch die Ansteuereinrichtung 1 
uber -eine Leitung Spl uberwacht, ob an einem oder mehreren 
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sicherheitsrelevanten Systemen 5 eine Spannung erfassbar ist . 
Sollte dies der Fall sein, ist der Ablauf beendet und es wird 
wieder zum Beginn ( Uberwachung) zuruckgekehrt . 

Wenn in Schritt SI festgestellt wird, dass an einem oder meh- 
reren sicherheitsrelevanten Systemen 5 keine Spannung an- 
liegt, steuert die erste Ansteuereinrichtung 1 in Schritt S2 
die Relaiseinheit 4 durch ein Steuersignal Stl an, so dass 
wieder eine Spannung an das/die sicherheitsrelevante (n) Sys- 
tem (e) angelegt wird. Ansonsten endet der Ablauf nach Schritt 
SI . 



AnschlieSend wird in Schritt S3 eine Anf orderungsbotschaf t 
Anfl, die aussagt, dass die Umschaltung des Relais zur Span- 
nungsversorgung erf orderlich* ist , auf den CAN-Bus 11 ausgege- 
ben. Diese Anf orderungsbotschaf t Anfl wird in Schritt S4 
durch die zweite Ansteuereinrichtung 2 empfangen. Daraufhin 
uberpriift die zweite Ansteuereinrichtung 2 in Schritt S5, ob 
das Ansteuern/Umschalten der Relaiseinheit 4 durch die erste 
Ansteuereinrichtung 1 erfolgreich war. Falls dies der Fall 
ist, endet der Ablauf. Ansonsten schreitet der Ablauf zu ei- 
nem Schritt S6 fort, in dem uber eine Leitung Sp2 festge- 
stellt wird, ob eine Spannung an einem oder mehreren sicher- 
heitsrelevanten Systemen 5 anliegt. Im positiven Fall endet 
der Ablauf, in negativen Fall wird zu einem Schritt S7 fort- 
geschritten, in dem uberpriift wird, ob ein Ansteuern/Schalten 
der Relaiseinheit 4 durch die zweite Ansteuereinheit 2 mog- 
lich ist. Wenn das Ansteuern/Schalten in Schritt S7 als mog- 
lich beurteilt wird, erfolgt anschlieSend in Schritt S8 iiber 
das Steuersignal St2 das Ansteuern/Schalten der Relaiseinheit 
4 durch die zweite Ansteuereinrichtung 2 und dann endet der 
Ablauf . 

Wenn ein Ansteuern/Schalten der Relaiseinheit 4 durch die 
zweite Ansteuereinrichtung 2 aus irgendwelchen Grunden, bei- 
spielsweise eine Unterbrechung der Leitung fur das Steuersig- 
nal St2 nicht moglich ist, gibt die zweite Ansteuereinrich- 
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tung 2 in einem Schritt S9 eine Anf orderungsbotschaf t Anf2 
auf den CAN-Bus 11 aus. Diese Anf orderungsbotschaf t Anf 2 der 
zweiten AnsteuereinricJitung 2 wird in Schritt S10 zusammen 
mit der Anf orderungsbotschaf t Anfl der ersten Ansteuerein- 
richtung 1 durch die drritte Ansteuereinrichtung 3 empfangen. 
Daraufhin erfolgt in Schritt Sll durch ein Steuersignal St3 
ein Ansteuern/Schalten. der Relaiseinheit 4 durch dritte An- 
steuereinrichtung 3. Danach endet der Ablauf . 

Die vorstehend beschriebene erf indungsgemaiSe Vorrichtung und 
das Verfahren zur redundanten Spannungsversorgung sicher- 
heitsrelevanter Systeme ist kostengunstig zu realisieren, da 
die einzelnen Ansteuereinrichtungen zur Ansteuerung exklusi- 
ver Relais fur jeweils eine Spannungsversorgung bereits in 
herkommlichen Vorrichtixngen ausgebildet sind, zusatzlich le- 
diglich die Verbindung und der Inf ormationsaustausch iiber den 
CAN-Bus, als ein Beispiel fur Kommunikationskanale, wie bei- 
spielsweise auch Steuerrleitungen, LIN, usw., realisiert und 
eine Ansteuerung aller Relais durch jede der Ansteuereinrich- 
tungen ermoglicht werden muss. 

Auf diese Weise kann einfach, ohne groSen zusatzlichen Schal- 
tungs- oder Bauteilaufwand und kostengunstig eine zuverlassi- 
ge Vorrichtung und ein Verfahren zur redundanten Spannungs- 
versorgung sicherheitsrelevanter Systeme verwirklicht werden. 

Der Vorteil der erf indungsgemaSen Vorrichtung und des Verfah- 
rens zur redundanten Spannungsversorgung sicherheitsrelevan- 
ter Systeme liegt dabei in der zweifachen Redundanz zum 
Schalten der Relais. Eine Sicherstellung spezieller Spanr 
nungsversorgungen fuhrt .zu einer hoheren Verf tigbarkeit von 
sicherheitskritischen Systemen. 

Selbstverstandlich versteht sich fur den Fachmann, dass an- 
stelle der im bevorzugten Ausf lihrungsbeispiel verwendeten 
drei Ansteuereinrichtungen auch mehr Ansteuereinrichtungen o- 
der jeweils 3 Ansteuereinrichtungen aus einer Vielzahl von im 
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Fahrzeug vorhandenen Ansteuereinrichtungen fur Relais verwen- 
det werden konnen. 
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Patentanspruche 



1. Vorrichtung zur redundanten Spannungsversorgung sicher- 
heitsrelevanter Systeme, insbesondere in Kraf tf ahrzeugen, 
mit : 

mindestens einer erst en Ansteuereinrichtung (1) , einer 
zweiten Ansteuereinrichtung (2) und einer dritten Ansteu- 
ereinrichtung (3) , die jeweils zur Ansteuerung von Relais 
in einer Relaiseinheit (4) zur Umschaltung von Sparmungs- 
versorgungen sicherheitsrelevanter Systeme (5) ausgebil- 
det sind, 

dadurch gekennzeichnet, 
dass 

die Ansteuereinrichtungen (1, 2, 3) mit einem Kommunika- 
tionskanal (11) in Verbindung stehen, 

die erste und zweite Ansteuereinrichtung (1, 2) jeweils 
eine Einrichtung zur Uberwachung einer an den sicher- 
heitsrelevanten Systemen (5) anliegenden Spannung aufwei- 
sen, 

die erste Ansteuereinrichtung (1) im Fall, dass die Ein- 
richtung zur Uberwachung einer an den sicherheitsrelevan- 
ten Systemen (5) anliegenden Spannung erkennt, dass keine 
Spannung anliegt, einen Schaltvorgang der Relaiseinheit 
(4) ansteuern und eine Anf orderungsbotschaf t (Anfl) auf 
den Kommunikationskanal (11) ausgeben kann; 
die zweite Ansteuereinrichtung (2) eine Einrichtung zur 
Uberpriifung, ob ein Ansteuerung und Schalten der Relais- 
einheit (4) durch die erste Ansteuereinrichtung erfolgt 
ist, aufweist, und im Fall, dass die Einrichtung zur U- 
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berprufung festgestellt hat, dass keine Ansteuerung oder 
ein Schalten durch erste Ansteuereinrichtung erfolgt ist, 
und die Einrichtung zur Uberwachung einer an den sicher- 
heitsrelevanten Systemen (5) anliegenden Spannung er- 
kennt, dass keine Spannung anliegt, einen Schaltvorgang 
der Relaiseinheit (4) ansteuern kann und, falls eine An- 
steuerung eines Schaltvorgangs der Relaiseinheit (4) 
nicht moglich ist, eine weitere Anf orderungsbotschaf t 
(Anf2) auf den Kommunikationskanal (11) ausgeben kann, 
und 

die dritte Ansteuereinrichtung (3) die Anf orderungsbot- 
schaf ten (Anfl, Anf 2) von der ersten und zweiten Ansteu- 
ereinrichtung (1, 2) vom Kommunikationskanal (11) empfan- 
gen und bei Empfang beider Anf orderungsbotschaf ten (Anfl, 
Anf 2) einen Schaltvorgang der Relaiseinheit (4) ansteuern 
kann . 

2. Vorrichtung nach Anspruchl, 
dadurch gekennzeichnet, 
dass 

anstelle der Relaiseinheit (4) mit Relais auch eine ande- 
re Einheit zur Umschaltung von Spannungen verwendet wer- 
den kann. 

3 . Vorrichtung nach Anspruch 1 oder 2 , 

d a d u r c h gekennzeichn e.t , 
dass 

der Kommunikationskanal (11) ein CAN-Bus ist. 

4. Verfahren zur redundanten Spannungsversorgung sicher- 
heitsrelevanter Systeme, insbesondere in Kraf tf ahrzeugen, 
gekennzeichnet durch 

die Schritte: 

(SI) Uberwachen, ob an einem oder mehreren sicherheitsre- 
levanten Systemen (5) eine Spannung erf as sbar ist, uber 
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eine erste Leitung (Spl) durch eine erste Ansteuerein- 
richtung (1) ; Ruckkehr zum. Beginn, wenn dies der Fall 
ist; 

(52) wenn in Schritt SI festgestellt wird, dass an einer 
oder mehreren sicherheitsrelevanten Systemeri (5) keine 
Spannung anliegt, Ansteuern einer Relaiseinheit (4) durch 
ein erstes Steuersignal (Stl) durch die erste Ansteuer- . 
einrichtung (1) , so dass wieder eine Spannung an das/die 
sicherheitsrelevante (n) System(e) (5) angelegt wird; 

(53) Ausgeben einer ersten Anf orderungsbotschaf t (Anfl) , 
die aussagt, dass die Umschaltung zumindest eines Reikis 
der Relaiseinheit (4) zur Spannungsversorgung erf order- 
lich ist, auf einen Kommunikationskanal (11) durch die 
erste Ansteuereinrichtung (1) ; 

(54) Empfangen der ersten Anf orderungsbotschaf t (Anfl) 
durch die zweite Ansteuereinrichtung (2) ; 

(s5) Uberpriifen, ob die Ansteuerung/Umschaltung der Re- 
laiseinheit (4) durch die erste Ansteuereinrichtung (1) 
erfolgreich war, durch die zweite Ansteuereinrichtung 

(2) ; falls dies der Fall ist, Ruckkehr zum Beginn; 

(56) Festgestellen, ob eine Spannung an einer oder mehre- 
ren sicherheitsrelevanten Systemen (5) anliegt, uber ein 
zweite Leitung (Sp2) durch die zweite Ansteuereinrichtung 
(2) ; im positiven Fall Ruckkehr zum Beginn; 

(57) im negativen Fall Uberpriifen, ob eine Ansteue- 
rung/ein Schalten der Relaiseinheit (4) durch die zweite 
Ansteuereinheit (2) moglich ist; 

(58) wenn die Ansteuerung/das Schalten in Schritt S7 als 
moglich beurteilt wird, uber ein zweites Steuersignal 

(St2) Ansteuern/Schalten der Relaiseinheit (4) durch die 
zweite Ansteuereinrichtung (2), dann Ruckkehr zum Beginn; 

(59) wenn ein Ansteuern/Schalten der Relaiseinheit (4) 
durch die zweite Ansteuereinrichtung (2) aus irgendwel- 
chen Griinden, wie beispielsweise eine Unterbrechung der 
Leitung fur das zweite Steuersignal, nicht moglich ist, 
Ausgeben einer zweiten Anf orderungsbotschaf t (Anf 2) auf 
den Kommunikationskanal (11) durch die zweite Ansteuer- 
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einrichtung (2) ; 

(510) Empfangen der zweiten Anf orderungsbotschaf t (Anf 2) 
der zweiten Ansteuereinrichtung (2) zusammen mit der ers- 
ten Anf orderungsbotschaf t (Anfl) der ersten Ansteuerein- 
richtung (1) durch die dritte Ansteuereinrichtung (3) ; 

(511) Ansteuern/Schalten der Relaiseinheit (4) durch die 
dritte Ansteuereinrichtung (3) durch ein drittes Steuer- 
signal (St3) ; anschlieEend Riickkehr zum Beginn. 
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